Überwachen Sie das Windows-Ereignisprotokoll auf bestimmte Ereignis-IDs und erhalten Sie eine Warnung, wenn diese zu häufig auftreten. Der Ereignisprotokoll-Monitor wird ausgelöst, wenn ein übereinstimmendes Ereignis eine definierte Anzahl von Malen innerhalb des gewählten Zeitfensters auftritt – nützlich zum Erkennen von Brute-Force-Anmeldeversuchen, Anwendungsabstürzen, Festplattenfehlern und anderen Mustern, die erst in der Häufung relevant werden.

Level überwacht das Windows-Ereignisprotokoll auf den abgedeckten Geräten auf alle von Ihnen angegebenen Ereignis-IDs. Wenn die übereinstimmenden Ereignisse Ihre Vorkommnisse Anzahl innerhalb des Dauer Fenster auftritt, wird ein Alarm ausgelöst.

Die Kombination aus Vorkommnissen und Dauer macht dies nützlich. Ereignis-ID 4625 (fehlgeschlagene Anmeldung), die einmal erscheint, ist nicht auffällig. Zehnmal innerhalb einer Minute ist ein Brute-Force-Versuch, der sofortiges Handeln erfordert.

Öffnen Sie die Ziel-Überwachungsrichtlinie und fügen Sie dann einen Ereignisprotokoll-Monitor hinzu oder bearbeiten Sie ihn. Der Monitor bearbeiten Bereich öffnet sich auf der rechten Seite.

Setzen Sie Schweregrad basierend darauf, was die Ereignis-IDs im jeweiligen Kontext darstellen:

Geben Sie eine oder mehrere Windows-Ereignis-IDs ein, die überwacht werden sollen. Geben Sie eine ID ein und drücken Sie Tab oder fügen Sie ein Komma hinzu, um sie als Tag hinzuzufügen, und geben Sie dann weitere ein.

Geben Sie den Namen des zu überwachenden Windows-Ereignisprotokolls ein. Das Feld unterscheidet nicht zwischen Groß- und Kleinschreibung. Häufige Werte:

Quelle ist optional. Geben Sie einen Quellnamen ein, um den Monitor auf Ereignisse einer bestimmten Anwendung oder Komponente innerhalb des Protokolls einzuschränken. Lassen Sie das Feld leer, um die Ereignis-IDs über alle Quellen in diesem Protokoll abzugleichen.

Wählen Sie eine oder mehrere Ereignisprotokoll-Ebenen aus, die übereinstimmen sollen. Nur Ereignisse auf den ausgewählten Ebenen werden auf Ihren Vorkommnisschwellenwert angerechnet:

Klicken Sie auf die Dropdown-Liste, um Ebenen hinzuzufügen. Klicken Sie auf × neben einem Ebenen-Chip, um ihn zu entfernen. Klicken Sie auf das × auf der rechten Seite des Felds, um alle Auswahlen zu löschen.

Vorkommnisse legt fest, wie viele übereinstimmende Ereignisse innerhalb des Dauerfensters erkannt werden müssen, bevor ein Alarm ausgelöst wird. Verwenden Sie die Aufwärts-/Abwärtspfeile, um den Wert festzulegen.

Dauer legt das Zeitfenster für die Zählung der Vorkommnisse fest. Das Einheiten-Dropdown ermöglicht die Auswahl von Minuten oder Stunden; der Schieberegler und die Aufwärts-/Abwärtspfeile legen den Wert innerhalb dieser Einheit fest.

Alarm automatisch auflösen, wenn er nicht mehr zutrifft ist für Ereignisprotokoll-Monitore standardmäßig deaktiviert. Ereignisbasierte Alarme stellen etwas dar, das bereits passiert ist – sie haben keinen „aktuell überschrittenen" Zustand, der automatisch gelöscht werden kann. Daher bedeutet das Deaktivieren der automatischen Auflösung, dass Alarme bestehen bleiben, bis ein Techniker sie überprüft und auflöst.

Fügen Sie eine oder mehrere Automatisierungen hinzu, die ausgeführt werden, wenn dieser Monitor ausgelöst wird – ein Gerät isolieren, ein Benutzerkonto zurücksetzen, ein Ticket erstellen oder Ihr Team benachrichtigen.

Empfänger werden auf Ebene der Überwachungsrichtlinie verwaltet, im Empfänger Abschnitt.

Klicken Sie auf Monitor aktualisieren zum Speichern der Änderungen, oder Monitor hinzufügen beim Hinzufügen eines neuen.